c3.11 エージェント型ペネトレーションテストを採用する
定期的な手動ペネトレーションテストを、AWS Security Agent のような自律型のエージェントベースのテストで補完します。実際の脆弱性を継続的に発見・悪用・検証するため、はるかに多くのアプリケーションを、はるかに高頻度でテストできます。
実装ガイダンス
より多くのアプリを、より高頻度でテストする
手動ペネトレーションテストは価値がありますが、頻度が低くコストも高いため、通常は年に一度、少数の重要アプリにしか及びません。エージェント型ペネトレーションテストは継続的に、わずかなコストで実行され、ポートフォリオ全体にカバレッジを広げ、欠陥の混入から発見までの時間を短縮します。
AWS Security Agent
AWS Security Agent（AWS Continuum の一部）は、専門の AI エージェントを使ってオンデマンドの自律型ペネトレーションテストを実行します。エージェントは攻撃対象領域をマッピングし、ビジネスロジックの欠陥を分析し、標的を絞った悪用を試み、検出結果を検証します。そのため、報告されるのはスキャナーの雑音ではなく、確認された悪用可能なリスクです。Web アプリケーションと API をテストする前にドメイン所有権を検証します。
エージェントを特権アイデンティティとして扱う
アプリを悪用するアクセス権を持つ自律型テスターは、それ自体が機微なプリンシパルです。アクセスを厳格に絞り、その操作をログに記録し、検証済みの検出結果を既存の DevSecOps と脆弱性管理のワークフローに連携します。ライフサイクルのより早い段階のエージェント型セキュリティレビューと組み合わせてください。
動画を見る
How to validate
- エージェント型／自律型のペネトレーションテストは継続的に実行されていますか、それともアドホックだけですか？
- どのアプリが対象で、標的の認可はどう管理されていますか？
- 検証済みの検出結果はどう優先順位付けし是正され、SLA はどの程度ですか？
- テストエージェント自身のアクセスは絞られ、ログ記録され、レビューされていますか？
Threats addressed
- 年次の手動ペネトレーションテストだけに頼ると、大半のアプリが長期間テストされないままになり、新たに混入した悪用可能な欠陥が検出されずに残ることがあります。
- 広範かつログ記録されないアクセス権を持つ自律型ペネトレーションテストエージェントは、それ自体が価値の高い標的であり、スコープと監視が不十分なら意図しない影響の源にもなり得ます。
AWS サービス
AWS Security Agent